使用 SSO 和 Shibboleth 2.0 的一般问题 - 将属性从 IdP 传递到 SP
我一直在阅读有关使用 Shibboleth 2.0 作为单点登录技术的内容。我遇到的一个困惑是，身份提供商 (IdP) 是否可以向服务提供商 (SP) 发送一个电子邮件属性，该属性可以向 Web 应用程序准确指示谁正在登录。
例如，如果用户 Joe 被定向到使用电子邮件 [email protected]< 在 IdP 上注册（创建用户/密码等） /a>，并且我的应用程序可以唯一识别 [email protected]，然后IdP 的身份验证响应是否可以表明 1.) 是的，这个人就是他所说的那个人，并且 2.) 他的电子邮件地址是 [电子邮件受保护]。
Shibboleth 联盟中 SSO 的一个主要优点似乎是应用程序不需要了解 Joe 在 IdP 中选择的特定用户名和密码的任何信息。这是真的吗？如果是这样，这是一个好的设计吗？或者，制作这样一个系统的风险和考虑因素是什么。
如果这不是一个好的设计，那么常见的替代方案是什么？
在我的应用程序中，我支持 SSL，并且我所有的个人电子邮件都是已知且唯一的。谢谢。
I have been reading up on using Shibboleth 2.0 as a Single Sign On technique. One confusion I have is whether it is possible for the Identity Provider (IdP) to send back to Service provider (SP) an email attribute that can indicate to the web app exactly Who is logging in.
For example, if user Joe is directed to register (create user/pass, etc) at the IdP with an email [email protected], and my application can uniquely identify [email protected], then can the authentication response from the IdP indicates 1.) yes, this person is who he says he is, and 2.) his email here is [email protected].
It seems like a major advantage of SSO in a Shibboleth federation is that the application does not need to know anything about particular usernames and passwords that Joe chooses at the IdP. Is that true? And, if so, is this a good design, or, what are the risks and considerations of making such a system.
If this is not a good design, what are common alternatives?
In my application, I am behind SSL, and all my person emails are known and unique. Thanks.
如果你对这篇内容有疑问，欢迎到本站社区发帖提问 参与讨论，获取更多帮助，或者扫码二维码加入 Web 技术交流群。
绑定邮箱获取回复消息
由于您还没有绑定你的真实邮箱，如果其他用户或者作者回复了您的评论，将不能在第一时间通知您！
发布评论
评论（1）
是的，身份验证的一部分是识别谁刚刚登录。Shibboleth 确实提供了将此信息作为 SAML 响应的一部分进行通信的机制。
请参阅https://spaces.internet2.edu/display/SHIB2/FlowsAndConfig# FlowsAndConfig-4.IdPIssuesResponsetoSP 了解这部分对话的一般描述。 IdP 发回一个“断言”，其中包含有关您希望的人员的所有属性。 Shibboleth 只能向某些 SP 发送属性 - 请参阅 https://spaces.internet2.edu/display/ SHIB2/IdPAddAttributeFilter 。
Yes, part of authentication is identifying who has just logged in. Shibboleth does provide mechanisms for communicating this back as part of the SAML response.
See https://spaces.internet2.edu/display/SHIB2/FlowsAndConfig#FlowsAndConfig-4.IdPIssuesResponsetoSP for a general description of this part of the conversation. The IdP sends back an "assertion" which includes all the attributes about the person you wish. Shibboleth can send attributes to only certain SP's -- see https://spaces.internet2.edu/display/SHIB2/IdPAddAttributeFilter .